IPA、Oracle Javaの脆弱性で早急な更新を呼びかけ―55件の修正、49件は認証不要のリモート悪用が可能

独立行政法人情報処理推進機構（IPA）は2026年10月21日、「Oracle Java の脆弱性対策について(2026年10月)」を公表し、Oracle Javaの利用者にセキュリティ更新プログラムの早急な適用を呼びかけました。脆弱性を悪用されると、アプリケーションが異常終了したり、条件によっては攻撃者にコンピューターを制御されたりするおそれがあります。

米Oracleが10月20日（米国時間）に公開したCritical Patch Update（CPU）には、Oracle Java SE製品群向けの新規セキュリティ修正55件が含まれます。このうち49件について、Oracleは認証情報を持たない攻撃者によるネットワーク経由での悪用が可能としています。Java SE製品群の最大CVSS v3.1基本値は7.5です。

Oracle Javaの脆弱性対策のサマリー

• IPAの注意喚起公表日：2026年10月21日
• Oracleの更新公開日：2026年10月20日（米国時間）
• Oracle Java SE製品群に対する新規セキュリティ修正：55件
• 認証不要でネットワーク経由の悪用が可能とされるもの：49件
• 同製品群での最大CVSS v3.1基本値：7.5
• 影響として、アプリケーションの異常終了、データへの不正アクセス、条件によってはシステムの乗っ取りなどが想定される
• IPAは最新のセキュリティ更新プログラムを早急に適用するよう呼びかけている
• Oracle Javaの商用利用ではライセンス・サポート条件の確認も必要

IPAが示した影響対象バージョン

IPAはサポート対象として、次のOracle Java SEのバージョンを列挙しています。これらは今回の脆弱性情報で影響を確認すべきバージョンであり、「記載されたバージョンに更新すれば修正完了」という一覧ではありません。

今回のOracleのリスクマトリクスには、Oracle JavaFX、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editionへの影響が記載された脆弱性も含まれます。Java SE以外の関連製品を使用する場合は、対象製品とビルドをOracleのアドバイザリで照合する必要があります。

55件の修正、49件は認証なしでリモート悪用可能

Oracleによると、Java SE製品群の新規修正55件のうち49件は認証不要でネットワーク経由から悪用可能とされています。ただし、49件すべてがあらゆるJavaサーバーに対してインターネットから直接攻撃できるという意味ではありません。脆弱性によっては、特定のAPIに外部データが渡される構成や、Java Web Start・アプレットなど信頼できないコードを扱うクライアント環境が条件になります。

例えば、CVE-2026-43660はJavaFXのWebKitGTKコンポーネントに関する脆弱性で、CVSS v3.1は7.5です。Oracleは悪用に利用者の操作が必要とし、影響条件を満たす場合には製品の乗っ取りにつながると説明しています。一方、通常のサーバー環境で信頼されたコードだけを実行する構成には、この脆弱性は適用されないとしています。

また、CVE-2026-101516はJavaライブラリーの脆弱性で、CVSS v3.1は6.5です。外部入力を対象APIに渡すWebサービスなどで悪用可能性があり、一部データの不正な読み取りや変更などにつながるおそれがあります。CVE-2026-101737はJava SE 26.0.2のCompilerコンポーネントに影響し、サービスの停止や繰り返しの異常終了を起こす可能性があるとされています。

修正版の目安とアップデート時の注意点

Oracleが2026年10月のCPUに対応するJava SEのリリースとして示す主なバージョンは以下のとおりです。

更新先は使用製品・OS・サポート契約によって異なります。Oracle Java SE 26については、現行ダウンロード対象の系列とサポート状況を確認し、サポートされる系列への移行も検討します。上記の一覧を、他社製OpenJDKディストリビューションにそのまま当てはめないでください。

企業の情報システム部門が確認すべき事項

Javaは利用者のPCだけでなく、業務システムのアプリケーションサーバー、バッチ処理、開発・検証環境、製品に同梱されたJava Runtimeなどにも存在します。更新作業では、端末にインストールされたJDK・JREを確認するだけでなく、アプリケーションに組み込まれたランタイムやコンテナイメージも対象に含めます。

OS上のバージョンは java -version で確認できますが、複数のJavaが共存する環境では、このコマンドが表示した一つの実行環境だけで対応が完了したとは判断できません。業務アプリケーションごとの実行パスや、提供ベンダーが指定するJavaの対応バージョンを確認する必要があります。

システムに大きな変更が必要な場合は、外部から到達可能な機能や、外部データを処理するJavaアプリケーションから適用計画を立て、互換性テスト、適用後のバージョン確認、サービス稼働確認まで実施します。こうした優先順位付けの考え方は、セキュリティ対策Labの脆弱性管理の解説でも整理しています。

IPAは2019年4月16日以降のOracle Javaのライセンス変更にも注意を促しています。商用利用する組織では、Javaの更新に加え、契約中のライセンスや有償サポートの条件を確認してください。

出典

• Oracle Java の脆弱性対策について(2026年10月) ― IPA
• Oracle Critical Patch Update Advisory – October 2026 ― Oracle
• Text Form of Oracle Critical Patch Update – October 2026 Risk Matrices ― Oracle
• Oracle Critical Patch Update (CPU) October 2026 for Oracle Java SE ― Oracle Cloud Infrastructure Documentation
• Java Downloads ― Oracle

関連記事

Kibanaに深刻な脆弱性、対象者はアップデートを(CVE-2024-12556) Jira、パストラバーサル(任意ファイル書き込み）の脆弱性を修正（CVE-2025-22167） Telnetの公開サーバー約80万台へサイバー攻撃 リスク-GNU InetUtils telnetdの認証回避 脆弱性(CVE-2026-24061) 札幌市立大学の研究用サイトが不正アクセスによる改ざん被害 Appleの Find My を悪用すると、他のベンダーのAndroid、Windows、Linux デバイスをリモートで追跡できる可能性 REVISIO、業務用PC1台がマルウェア感染　ローカル端末の個人情報漏えいの恐れ 金融庁、本人確認書類の画像漏えいを受け対策強化を要請―ICチップ本人確認への早期移行も促す ポーランド政府機関が野党幹部のスマホを秘密監視―スパイウェア「Pegasus」、開発元も情報にアクセス可能 熊本市教委、進学支援金申請者562人分の個人情報が誤設定により漏洩

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)